Od incydentu do odbudowy zaufania¶

Praktyczny przewodnik po komunikacji kryzysowej¶

Skuteczne reagowanie na incydent cyberbezpieczeństwa to nie tylko działania techniczne. Równie ważna jest odpowiednia komunikacja kryzysowa. Zaplanowana i przemyślana pomaga ograniczyć szkody wizerunkowe i utrzymać zaufanie do organizacji. Często jednak pełni ona nie tylko funkcję PR-ową, ale jest także obowiązkiem wynikającym z przepisów prawa.

Ponad ćwierć miliona obsłużonych przez CERT Polska w 2025 roku incydentów oznacza, że coraz więcej organizacji zarówno firm (i to niezależnie od ich wielkości), jak i instytucji publicznych, będzie musiało w najbliższych latach radzić sobie z komunikacją kryzysową po incydencie cyberbezpieczeństwa.

Warto pamiętać, że ustawa o KSC nakłada na podmioty kluczowe i ważne również obowiązki związane z komunikacją. Organizacje powinny także edukować użytkowników w zakresie cyberzagrożeń oraz zapewnić im możliwość zgłaszania zagrożeń, incydentów i podatności związanych ze świadczonymi usługami.

Art. 9. 1. Podmiot kluczowy lub podmiot ważny:

(...)

2) zapewnia użytkownikowi usługi dostępu do wiedzy pozwalającej na zrozumienie cyberzagrożeń i stosowanie skutecznych sposobów zabezpieczania się przed tymi zagrożeniami w zakresie związanym ze świadczonymi usługami, w szczególności przez udostępnianie informacji na ten temat na swojej stronie internetowej;

3) zapewnia użytkownikowi usługi możliwość zgłoszenia cyberzagrożenia, incydentu lub podatności związanych ze świadczoną usługą

Komunikacja kryzysowa w momencie naruszenia bezpieczeństwa organizacji powinna obejmować zarówno jej klientów, partnerów biznesowych, odpowiednie instytucje oraz media, jak i pracowników. W przypadku incydentu cyberbezpieczeństwa zbyt późne, niejasne lub sprzeczne komunikaty mogą powodować zamieszanie, osłabiać zaufanie do organizacji oraz prowadzić do dodatkowych problemów prawnych i wizerunkowych.

Dlatego przygotowanie procedur i standardów komunikacji kryzysowej jeszcze przed wystąpieniem incydentu jest równie ważne jak wdrożenie zabezpieczeń technicznych. W praktyce oznacza to opracowanie planu komunikacji, określenie ról i odpowiedzialności oraz przygotowanie gotowych procedur.

Dobry plan komunikacji kryzysowej¶

W sytuacji kryzysowej czas ma kluczowe znaczenie, a decyzje podejmowane pod presją często prowadzą do błędów. Organizacje, które wcześniej zaplanowały sposób komunikacji z pracownikami, klientami, partnerami i mediami, są w stanie szybciej reagować, ograniczać skutki incydentu oraz skuteczniej chronić swoją reputację i zaufanie interesariuszy. 

Komunikaty publikowane w przypadku incydentu powstają przede wszystkim po to, żeby ograniczyć skutki działania cyberprzestępców poprzez wsparcie osób, których mogą one dotyczyć. Dodatkowo szybka i transparentna komunikacja incydentu może również pozytywnie wpływać na reputację organizacji, ponieważ świadczy o jej dojrzałości cybernetycznej, odpowiedzialności oraz wysokich standardach zarządzania bezpieczeństwem. Takie komunikaty wypełniają także obowiązki prawne związane z nowelizacją KSC i RODO.

Plan komunikacji powinien uwzględniać: 

zakres odpowiedzialności poszczególnych osób
(tj. kontakt z mediami, pracownikami, komunikacja z klientami i partnerami biznesowymi, podejmowanie decyzji dotyczących publikacji informacji o incydencie),
ścieżki akceptacji komunikatów i listę osób decyzyjnych, 
grupy docelowe,
kanały komunikacji oraz ich alternatywy, 
procedury współpracy z działem bezpieczeństwa, obsługą IT, zespołem prawnym oraz PR.

Co ważne, nie mówimy tu tylko o komunikacji zewnętrznej. Komunikacja wewnętrzna - czyli powiadomienie o sytuacji pracowników - jest równie ważna. Powinni oni otrzymać jasną informację o sytuacji i niedostępnych systemach, instrukcje dotyczące dalszego postępowania, zasady zgłaszania problemów oraz wytyczne dotyczące kontaktu z klientami. Dodatkowo, by uniknąć chaosu, wiadomość dla pracowników powinna zawierać jasne wskazanie, do kogo kierować pytania mediów, które trafiają do nich bezpośrednio, a także do kogo oni sami mogą kierować swoje pytania w kontekście incydentu.

Kiedy zagrożenie staje się rzeczywistością¶

W sytuacji, kiedy dojdzie do incydentu w organizacji, warto oprzeć swoje działania komunikacyjne na poniższym schemacie:

Analiza sytuacji - zebranie dostępnych informacji o incydencie, ocena jego skali, potencjalnych skutków oraz grup odbiorców, których może dotyczyć.
Określenie celów komunikacji - ustalenie, jaki efekt ma przynieść komunikacja, np. ograniczenie dezinformacji, utrzymanie zaufania lub przekazanie zaleceń dotyczących dalszego postępowania.
Wybór odpowiednich kanałów - w zależności od odbiorców może to być poczta elektroniczna, intranet, strona internetowa, media społecznościowe czy kontakt bezpośredni.
Opracowanie przekazu - przygotowanie komunikatu do publikacji.
Uruchomienie komunikacji - sprawne przekazanie informacji z zachowaniem spójności we wszystkich kanałach.
Monitorowanie i analiza publikacji - śledzenie publikacji medialnych, komentarzy oraz reakcji odbiorców, by reagować na pojawiające się pytania, obawy lub nieprawdziwe informacje.
Reagowanie na bieżąco we współpracy z zespołem zarządzania kryzysowego - w miarę rozwoju sytuacji komunikaty powinny być aktualizowane.
Ocena i wnioski - po zakończeniu incydentu warto przeanalizować przebieg komunikacji, zidentyfikować obszary wymagające poprawy oraz wskazać rozwiązania, które sprawdziły się w praktyce.

Działanie oparte na tych zasadach pozwala uporządkować komunikację i skutecznie przeprowadzić organizację przez kryzys.

Zrozumiale, szczerze i na czas¶

Język komunikatu dotyczącego incydentu musi być prosty i dostosowany do odbiorców. Ma on wyjaśniać sytuację w sposób przejrzysty i opierać się na faktach.

Informacja powinna być opublikowana możliwie szybko, nawet jeśli nie wszystkie okoliczności zdarzenia zostały już wyjaśnione. W takich przypadkach warto zakomunikować, że incydent jest analizowany i trwają działania wyjaśniające oraz przekazać rekomendacje, co można zrobić, żeby zminimalizować ewentualne skutki ataku.

Dobrze napisany komunikat odpowiada na sześć podstawowych pytań:

Co się wydarzyło? - krótki opis incydentu.
Kogo dotyczy incydent? - wskazanie grup odbiorców, których sytuacja może dotyczyć.
Jaki jest wpływ na odbiorców? - informacja o możliwych utrudnieniach, ryzykach lub konsekwencjach.
Jakie działania prowadzi organizacja? - opis działań podejmowanych w celu rozwiązania problemu.
Co powinien zrobić odbiorca? - konkretne zalecenia lub instrukcje.
Kiedy pojawią się kolejne informacje? - wskazanie terminu następnej aktualizacji lub kanału, w ramach którego będzie publikowana.

Przy tworzeniu komunikatu należy unikać najczęściej popełnianych błędów, takich jak opóźnianie pierwszej informacji, np. przez oczekiwanie na ustalenie wszystkich faktów, stosowanie zbyt technicznego języka, publikowanie niespójnych komunikatów, brak aktualizacji, spekulacje oraz składanie obietnic, których organizacja nie jest w stanie zrealizować.

Rady dla poszkodowanych¶

W przypadku incydentu związanego z naruszeniem bezpieczeństwa danych sama informacja o zdarzeniu nie wystarczy. Zgodnie z art. 11 ust. 2a ustawy o Krajowym Systemie Cyberbezpieczeństwa należy przekazać użytkownikom, jakie środki zapobiegawcze mogą podjąć, by zadbać o swoje bezpieczeństwo w danej sytuacji. W zależności od rodzaju incydentu wśród rekomendacji mogą znaleźć się: 

zmiana haseł, zwłaszcza jeśli dane logowania były wykorzystywane również w innych systemach lub usługach,
włączenie uwierzytelniania dwuskładnikowego (2FA), jeśli nie było wcześniej stosowane i jeśli jest to możliwe,  
zachowanie szczególnej ostrożności wobec wiadomości e-mail, SMS-ów i połączeń telefonicznych mogących wykorzystywać informacje pozyskane w wyniku incydentu,  
monitorowanie aktywności na kontach i zwracanie uwagi na nietypowe logowania lub operacje,  
kanał kontaktu (np. policja) dla osób, które podejrzewają nieuprawnione wykorzystanie swoich danych.

Kiedy komunikat jest obowiązkowy?¶

Zgodnie z Ustawą o Krajowym Systemie Cyberbezpieczeństwa, której nowelizacja weszła w życie 3 kwietnia 2026 roku, podmiot kluczowy lub ważny ma obowiązek poinformować użytkowników m.in. o: 

poważnym cyberzagrożeniu mogącym wpływać na świadczone usługi, 
incydencie poważnym wpływającym na świadczenie usług, 
środkach, które użytkownicy mogą podjąć w celu ograniczenia skutków zagrożenia.

Art. 11 ust. 2a

W przypadku zaistnienia poważnego cyberzagrożenia podmiot kluczowy lub podmiot ważny informuje użytkowników swoich usług, na których takie cyberzagrożenie może mieć wpływ, o możliwych środkach zapobiegawczych, które użytkownicy ci mogą podjąć. Podmiot kluczowy lub podmiot ważny informuje tych użytkowników o samym poważnym cyberzagrożeniu, jeżeli nie spowoduje to zwiększenia poziomu ryzyka dla bezpieczeństwa systemów informacyjnych.

Art. 11 ust. 2b

Podmiot kluczowy lub podmiot ważny informuje użytkowników swoich usług o incydencie poważnym, jeżeli ma on niekorzystny wpływ na świadczenie tych usług.

Co ważne, brak wymaganej komunikacji może skutkować wydaniem przez właściwy organ decyzji administracyjnej nakazującej poinformowanie odbiorców usług (art. 53 ustawy o KSC).

Art. 53 ust. 5

Organ właściwy do spraw cyberbezpieczeństwa w stosunku do podmiotów kluczowych, także wtedy gdy podmiot kluczowy nie zastosował się do pisma z ostrzeżeniem, o którym mowa w ust. 4, może (...)

4) nakazać, w drodze decyzji, poinformowanie, w określony przez niego sposób, odbiorców usług tego podmiotu, których dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia oraz o możliwych środkach ochronnych lub naprawczych, jakie należy podjąć w reakcji na to zagrożenie.

Art. 53 ust. 4

W przypadku uzasadnionego podejrzenia, że działania lub zaniechania podmiotu kluczowego mogą naruszać przepisy ustawy, organ właściwy do spraw cyberbezpieczeństwa kieruje do tego podmiotu pismo w formie elektronicznej z ostrzeżeniem, w którym wskazuje czynności, jakie należy podjąć w celu zapobieżenia lub zaprzestania naruszania przepisów ustawy oraz termin na ich wykonanie.

Dodatkowo zgodnie z rozporządzeniem ws. RODO, jeżeli incydent wiąże się z naruszeniem ochrony danych osobowych, administrator może mieć obowiązek zgłoszenia go do UODO.

Art. 34 ust. 1

Jeżeli naruszenie danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator musi bez zbędnej zwłoki poinformować osoby, których dane dotyczą o takim naruszeniu.

Art. 34 ust. 2

Zawiadomienie powinno być napisane jasnym i prostym językiem, opisując charakter naruszenia oraz środki ochrony, jakie zostały podjęte lub które osoba może zastosować, aby zminimalizować skutki naruszenia

Komunikacja po zakończeniu incydentu¶

Organizacje często komunikują początek kryzysu, ale pomijają jego zakończenie. Tymczasem dla klientów, partnerów biznesowych i mediów równie ważna jest informacja, że problem został rozwiązany.

Po wyjaśnieniu incydentu warto opublikować komunikat podsumowujący. Powinien on mówić o tym, że sytuacja została opanowana, przedstawiać najważniejsze wnioski oraz wskazywać działania podjęte w celu ograniczenia ryzyka podobnych zdarzeń w przyszłości. Dzięki temu łatwiej odbudować zaufanie odbiorców.

Publikacja to nie wszystko¶

Po zakończeniu komunikacji incydentu należy także ocenić, jak przebiegał cały proces i przyjrzeć się temu, jak wyglądały:

Czas reakcji - jak szybko opublikowano pierwsze komunikaty i czy ewentualne opóźnienia były uzasadnione.
Skuteczność kanałów komunikacji - czy informacje dotarły do odbiorców na czas i czy wykorzystywane kanały działały bez zakłóceń.
Proces akceptacji - czy ścieżka zatwierdzania komunikatów była jasna i nie powodowała niepotrzebnych opóźnień.
Współpracę między zespołami - czy zespoły techniczne, komunikacyjne i prawne skutecznie wymieniały informacje.
Reakcje odbiorców - jakie pytania najczęściej się pojawiały i czy komunikaty odpowiadały na potrzeby informacyjne klientów, pracowników oraz partnerów.

Wyniki takiej analizy powinny zostać wykorzystane do ulepszenia procedur i planu na przyszłość. Co ważne, warto przeanalizować nie tylko błędy, ale również działania, które okazały się skuteczne. Dobre praktyki sprawdzone podczas rzeczywistego incydentu mogą posłużyć do dalszego doskonalenia komunikacji kryzysowej.

Przygotowanie to połowa sukcesu¶

O skuteczności komunikacji kryzysowej często decyduje to, co organizacja zrobiła wcześniej, żeby się do niej przygotować. Dobrze zaplanowane działania pomagają ograniczyć chaos informacyjny, uniknąć sprzecznych komunikatów i szybciej odpowiadać na potrzeby pracowników, klientów oraz partnerów biznesowych.

Co ważne, odbiorcy zwykle nie oceniają organizacji wyłącznie przez pryzmat samego incydentu. Równie ważne jest dla nich to, jak organizacja zareagowała, czy informowała o sytuacji w przejrzysty sposób, brała odpowiedzialność za swoje działania i pomagała osobom, których incydent dotyczył. W wielu przypadkach to właśnie jakość komunikacji decyduje o tym, czy kryzys stanie się jedynie trudnym doświadczeniem, czy długotrwałym problemem wizerunkowym.

Zatem inwestycja w przygotowanie komunikacji kryzysowej to nie dodatkowy obowiązek, ale element budowania odporności organizacji.

Ostatnia aktualizacja artykułu: 2026-09-02.